CVE-2026-53405 in Syncope
الملخص
بحسب VulDB • 20/07/2026
ثغرة عدم العزل أو الحجز الصحيح (Improper Isolation or Compartmentalization) في Apache Syncope.
يمكن لمسؤول يمتلك الصلاحيات المناسبة استيراد تعريفات عمليات BPMN تعسفية عبر واجهة برمجة التطبيقات REST ثم بدء تشغيل العملية. عند استيراد عملية BPMN تحتوي على عنصر scriptTask مكتوب بلغة Groovy وبدء تشغيلها، يتم تنفيذ نص Groovy مباشرةً على الخادم دون وجود أي بيئة معزولة (sandbox).
تؤثر هذه المشكلة في Apache Syncope: من الإصدار 3.0.0-M0 حتى 3.0.16، ومن 4.0.0-M0 حتى 4.0.6، ومن 4.1.0-M0 حتى 4.1.1.
يُنصح المستخدمون بالترقية إلى الإصدارات 4.0.7 / 4.1.2، التي تصلح هذه المشكلة من خلال تغليف عناصر Flowable's Groovy scriptTasks ببيئة معزولة (security sandbox).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.